Vad är passkeys och hur använder man dem?

Passkeys är ett sätt att logga in utan att skriva ett traditionellt lösenord. I stället bekräftar du inloggningen med samma metod som du använder för att låsa upp enheten, till exempel en PIN-kod, ett fingeravtryck eller ansiktsigenkänning. Tekniken är gjord för att vara enklare att använda och svårare att lura genom falska inloggningssidor. Tjänsten måste dock själv stödja passkeys för att metoden ska fungera.

Vad är en passkey?

En passkey bygger på ett kryptografiskt nyckelpar. Den privata nyckeln skyddas av din telefon, dator, lösenordshanterare eller säkerhetsnyckel. Tjänsten får en motsvarande publik nyckel som används för att kontrollera att du har rätt inloggningsuppgift. Du lämnar alltså inte ut någon hemlig lösenordssträng till webbplatsen vid varje inloggning.

Passkeys använder FIDO2- och WebAuthn-teknik. Det viktiga i vardagen är att inloggningen kopplas till den verkliga webbplatsen, vilket hjälper mot nätfiske där någon försöker få dig att logga in på en förfalskad adress. Läs gärna FIDO Alliances förklaring av passkeys om du vill fördjupa dig i tekniken.

Så skapar du en passkey steg för steg

1. Logga in på en tjänst som erbjuder passkeys med din nuvarande inloggningsmetod.
2. Öppna kontots säkerhetsinställningar och leta efter ett alternativ som heter passkey, nyckel eller lösenordsfri inloggning.
3. Välj var nyckeln ska sparas. Det kan exempelvis vara enhetens inbyggda hanterare, en kompatibel lösenordshanterare eller en fysisk säkerhetsnyckel.
4. Bekräfta med telefonens eller datorns skärmlås när du blir ombedd.
5. Kontrollera att den nya inloggningsmetoden syns i säkerhetsinställningarna innan du stänger sidan.

Knappnamn och val varierar mellan tjänster, operativsystem och webbläsare. Om passkey-alternativet saknas kan tjänsten sakna stöd, eller så måste enheten eller webbläsaren uppdateras. Använd aldrig länkar i oväntade säkerhetsmejl för att ”aktivera” en passkey; börja från tjänstens vanliga adress eller app.

Hur loggar man in med en passkey?

När du väljer att logga in visar webbplatsen normalt en dialog från systemet eller lösenordshanteraren. Bekräfta med fingeravtryck, ansiktsigenkänning eller enhetens PIN-kod. Inloggningen sker utan att du behöver komma ihåg ett separat lösenord. I vissa tjänster måste du först skriva användarnamn eller e-postadress, medan andra visar kontot direkt.

Om passkeyn finns på din mobil men du loggar in på en dator kan du ibland välja att använda en annan enhet. Då kan en QR-kod visas som du skannar med mobilen. Följ anvisningarna på båda enheterna och kontrollera alltid vilken tjänst som begär inloggningen.

Fungerar passkeys på iPhone, Android och Windows?

Ja, vanliga moderna plattformar har stöd, men exakt lagringsplats och vilka appar som får använda nycklarna skiljer sig åt. På Apple-enheter kan passkeys synkroniseras genom Apples lösenordslösning när motsvarande funktioner är aktiverade. På Android och i Chrome kan exempelvis Google Lösenordshanterare lagra och synkronisera passkeys. En separat lösenordshanterare kan också fungera om den stöder passkeys i din miljö.

I Windows 11 kan du kontrollera lokalt sparade passkeys under Inställningar → Konton → Passkeys. Vissa nycklar ligger dock i en separat hanterare och visas därför inte på samma ställe. Microsoft beskriver skillnaden i sin guide till sparade passkeys.

Är passkeys säkrare än lösenord?

För nätfiske är passkeys normalt ett tydligt steg framåt. En falsk webbplats kan inte bara be dig skriva av en passkey på samma sätt som den kan samla in ett lösenord eller en engångskod. Varje passkey är avsedd för den tjänst där den registrerades, och tjänsten lagrar inte din privata nyckel.

Det betyder däremot inte att ett konto blir omöjligt att kapa. Om någon får kontroll över en olåst enhet, en svagt skyddad lösenordshanterare eller själva kontoåterställningen finns fortfarande risker. Fortsätt därför att skydda enheter, konton och återställningsmetoder. För konton som fortfarande kräver lösenord kan du använda vår guide till lösenordshanterare.

Synkroniserad passkey eller enhetsbunden?

En synkroniserad passkey kan bli tillgänglig på flera av dina enheter via en kompatibel leverantör. Det förenklar byte av telefon eller dator och gör det mindre sannolikt att en enda förlorad enhet stänger dig ute. En enhetsbunden passkey ligger kvar på en särskild enhet, till exempel en fysisk säkerhetsnyckel, och flyttas inte automatiskt till andra enheter.

Det finns inte en lösning som passar alla. En privatperson som växlar mellan mobil och dator kan värdera enkel synkronisering högt. Den som hanterar särskilt känsliga konton kan vilja använda en fysisk säkerhetsnyckel som extra skydd. Titta också på hur tjänsten erbjuder reservinloggning innan du väljer.

Vad händer om du tappar mobilen?

Om passkeyn är synkroniserad kan den finnas tillgänglig via en annan enhet där samma hanterare används. Om nyckeln enbart ligger på den förlorade enheten behöver du i stället tjänstens återställningsmetod, en andra registrerad passkey eller en reservnyckel. Möjligheterna skiljer sig åt mellan tjänster, så kontrollera detta medan du fortfarande har åtkomst.

Det är klokt att ha mer än en användbar inloggningsväg till ditt viktigaste konto, framför allt e-postkontot som ofta används för att återställa andra tjänster. Se till att återställningsadress, telefonnummer och eventuella reservkoder är aktuella. En utskriven reservkod bör förvaras så att ingen obehörig kommer åt den.

Kan man fortfarande använda lösenord och tvåfaktorsinloggning?

Ja. En del tjänster låter passkeys fungera parallellt med lösenord och multifaktorautentisering, medan andra kan erbjuda helt lösenordsfri inloggning. Om lösenord finns kvar är det fortfarande viktigt att det är unikt och att eventuella extra skydd är aktiverade. Vår guide om multifaktorautentisering förklarar hur en extra faktor kan skydda vanliga lösenordskonton.

Skapa inte en passkey bara för att ett oväntat meddelande påstår att du måste göra det omedelbart. Logga in via tjänstens officiella webbplats och välj själv säkerhetsinställningarna. Om du misstänker ett försök till kapning, gå till vår guide om att skydda lösenord och konton.

Checklista innan du börjar

• Kontrollera att tjänsten erbjuder passkeys och att din enhet är uppdaterad.
• Välj en lagringsplats som fungerar på de enheter du faktiskt använder.
• Skydda enheten med PIN-kod eller biometrisk upplåsning.
• Ta reda på hur en förlorad enhet eller borttappad nyckel hanteras.
• Se över reservmetoder innan du tar bort gamla inloggningsalternativ.
• Bevara unika lösenord och MFA där tjänsten fortfarande använder dem.

Sammanfattning: Passkeys gör det ofta enklare att logga in och minskar risken för lösenordsfiske. Den viktigaste praktiska förberedelsen är att välja var nyckeln lagras och förstå hur du återfår tillgång till kontot om enheten går förlorad.